「Android限定」のSMSは詐欺の合図｜銀行アプリ乗っ取りの手口と拒否すべき4つの許可

スマホに「ポイントが失効します」というSMSが届き、言われるまま「アプリをダウンロード」を押した。それだけで、翌日には自分の口座から知らない口座へ送金されていた。これが今、全国で起きている手口です。テレビの箱やスマホに最初から入っている裏口の話（Videostrong事件・偽ブランドの格安スマホ）と違い、こちらは「自分で入れてしまう」型です。だからこそ、合図を知っていれば防げます。大阪・心斎橋でスマホの修理をしている当店が、銀行と警察庁の一次資料だけをもとに書きました。

1. 先に言葉の説明

この記事でいちばん大事なのは「重ねて表示」と「ユーザー補助」です。この2つを渡すと、本物の銀行アプリの上に偽の画面をかぶせ、あなたが打った暗証番号を読み取り、あなたの代わりに送金の操作ができます。言葉はこれで足ります。次は、実際に何が起きているかです。

2. 何が起きているのか

つまり、「カード会社」「ポイント」「還付金」と、名乗る相手は変わっても、最後にやらせたいことは一つです。「Google Play 以外の場所から、アプリを入れさせる」。ここまでが全体像です。次の章で、手口を4コマで見ます。

3. 手口の流れ。4コマで

1. SMS・メールが届く。カード会社・通販・航空会社などを名乗り、「ポイントがまもなく失効」「●周年記念の現金プレゼント」「アプリを更新してください」と誘います。
2. リンク先は Google Play そっくりの偽ページ。本物のストアではありません。「インストール」を押すと、不正アプリが入ります（東北銀行）。
3. インストール時に、4つの許可を求めてくる。「提供元不明のアプリを許可」「他のアプリの上に重ねて表示」「ユーザー補助」「VPN接続」。ここを通すと、スマホの画面と入力が丸見えになります。
4. 本物の銀行アプリを開くと、偽のログイン画面が重なる。「通信先が本物のサイトである場合もあり、画面を見ただけでは見分けがつきません」（東北銀行）。暗証番号を打てば、そのまま送金に使われます。

4. 合図になる文面

東北銀行は、文面は次々に変わると前置きしたうえで、「特に『Android スマホ限定』『アプリをダウンロード』という言葉が入っている場合は、不正アプリへの誘導が目的である疑いがあります」と書いています。理由は簡単で、この手口は iPhone では成立しないため、犯罪側が最初から Android の人だけを選んでいるからです。

銀行もカード会社も、メールやSMSでアプリのインストールをお願いすることはありません（東北銀行「当行がメール等でアプリのインストールをお願いすることは決してありません」、GMOあおぞらネット銀行「当社からSMSをお送りすることはありません」）。「本物かどうか」を見分けようとしなくて大丈夫です。「メッセージのリンクからアプリは入れない」の一つで足ります。

5. 拒否すべき4つの許可

リンクを押してしまっても、まだ止められます。不正アプリは、入るときに次の4つの許可を求めてきます。この画面が出たら「許可しない」を選び、アプリを消してください。

4つとも、本来は正当な使い道のある機能です。ただし、銀行アプリやポイントアプリがこの4つを求めることはありません。「ポイントをもらうアプリ」が「ユーザー補助」を求めてきた時点で、つじつまが合わないと考えてください。ここまで読めば、防ぎ方は分かりました。記事はあと半分です。残りは「被害の大きさ」と「入れてしまったときにどうするか」です。

6. どれだけ危ないのか

危なさ1：画面を見ても分からない

偽のログイン画面は、本物の銀行アプリを開いた瞬間に重なります。東北銀行は「通信先が本物のサイトである場合もあり、画面を見ただけでは見分けがつきません」と書いています。「本物かどうか見極める」という対策は、この手口には通用しません。

危なさ2：送金の操作も、あなたの指を借りずに終わる

「ユーザー補助」を渡した不正アプリは、画面を読み、ボタンを押せます。千葉銀行の言う「第三者によって不正に遠隔操作される」とはこの状態です。暗証番号を一度打てば、あとは本人が寝ている間に手続きが進みます。

危なさ3：自分のスマホが「詐欺SMSの発信機」になる

警察庁の統計資料は、2025年にSMSによる誘導が増えた理由として「モバイルマルウェアに感染した端末を悪用して、フィッシングサイトへ誘導する悪性なSMSを大量配信されている」ことを挙げています。つまり、不正アプリを入れたスマホは、被害者であると同時に、次の誰かに詐欺SMSを送る側にもなります。身に覚えのないSMS送信で通信料が跳ね上がる、知人から「変なメッセージが来た」と言われる、という形で気付く人もいます。

危なさ4：手口は進化している

警察庁の「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」には、2026年2月に確認されたスマホのマルウェアを解析した結果として、「被害端末自身の情報を生成AIに送信することで、生成AIに被害端末のメーカーや機種等に応じた画面操作に関する命令を生成し、ユーザーの操作なしに不正な命令を実行する機能」が載っています。機種ごとの画面の違いを、犯罪側がAIで自動的に乗り越える時代に入っています。

7. 入れてしまったかもしれないときの手順

1. 機内モードにして、通信を切る。Wi‑Fiも切ります。不正アプリは通信できなければ、画面を送ることも命令を受けることもできません。
2. 別の電話から、銀行に連絡して利用を止めてもらう。東北銀行は「すでに不審なアプリをインストールしてしまった、リンク先画面にパスワードなどを入力してしまった、身に覚えのない出金を確認した」場合は直ちに取引店へ、としています。口座の利用停止は、銀行にしかできません。
3. 不正アプリを消す。消せなければ初期化する。設定のアプリ一覧から、心当たりのないアプリ（「ポイント」「セキュリティ」「更新」のような名前が多い）を削除します。「ユーザー補助」や「デバイス管理」の設定で、そのアプリの許可を先に外さないと削除できないことがあります。難しければ初期化してください。この型は初期化で消えます。
4. 別の端末から、パスワードと暗証番号を変える。銀行・カード・Google アカウント・よく使う通販の順で。感染したかもしれない端末からは変えないでください。
5. 警察相談専用電話 #9110 へ。被害が出ていれば、最寄りの警察署に被害届を。カード会社にも連絡します。

8. ご家族ができること。お年寄りのスマホで見る3つの設定

合わせて、Google Play プロテクトがオンになっているか（Google Play ストア → プロフィール → Play プロテクト）も見てください。門番が働いていれば、偽ページからのインストール時に警告が出ることがあります。

9. 修理店から。当店でできること・できないこと

当店は大阪・心斎橋でiPhone・iPad・Androidスマホを修理する、総務大臣に登録された登録修理業者です。銀行口座の利用停止や、乗っ取られたアカウントの復旧は、銀行とサービス提供元にしかできません。当店ができるのは、端末そのものに不正アプリが残っていないかを調べること（有償）と、端末の初期化のお手伝いです。

スマホの画面に突然出る「ウイルスに感染しました」という警告のほとんどは偽の広告で、この記事の手口とは別物です。見分け方はスマホの「ウイルスに感染しました！」警告はただの偽広告に、LINEの乗っ取りはLINEが乗っ取られたらすぐやることにまとめています。「出荷時から入っていて消せない」型の話は、テレビの箱130万台の裏口事件と偽ブランドの格安スマホをご覧ください。画面割れ・バッテリー・電源などの修理はAndroid修理のページでご案内しています。

ここまで読んだ方は、次に「Android限定」のSMSが来たとき、押さずに消せます。今日、ご家族のスマホの「ユーザー補助」の画面を一度開いてみてください。知らない名前がなければ、この件は終わりです。

よくある質問（銀行アプリの乗っ取りと不正アプリ）